Kişisel verilerin yurt dışına aktarılması Kişisel Verilerin Korunması Kanunu (“KVKK”) kapsamında uyum sürecinde olan şirketler bakımından en sıkıntılı konulardan bir tanesiydi. Nitekim KVKK kapsamında kişisel verilerin yurt dışına aktarılması 9. madde altında ilgili kişinin açık rızası ile veya yine aynı maddede öngörülen istisna hükümlerince mümkün olabiliyordu.
Hal böyle olunca, gerek güvenli ülkelerin açıklanmaması gerekse taahhüt mekanizmasının pratik bir yol olmaması özellikle çok uluslu şirketleri yurt dışına veri aktarımı bakımından zor durumda bırakıyordu. Bu sebeple Kişisel Verileri Koruma Kurulu (“Kurul”) tarafından çok uluslu şirketler arasında gerçekleştirilecek uluslararası veri aktarımlarında kullanılmak üzere bir diğer istisnai yöntem olarak “Bağlayıcı Şirket Kuralları” getirildi.
GDPR kapsamında uygulaması oldukça yaygın olan “Bağlayıcı Şirket Kuralları”, yeterli korumanın bulunmadığı ülkelerde faaliyet gösteren çok uluslu grup şirketleri için kişisel verilerin yurt dışına aktarımında kullanılan ve yeterli bir korumanın yazılı olarak taahhüt edilmesini sağlayan veri koruma kuralları olarak tanımlanabilir.
Kurul tarafından yapılan duyuruda, bu kapsama giren şirketlerin, ilgili formu doldurup gerekli talimatları izleyerek Kişisel Verileri Koruma Kurumu’na (“Kurum”) başvuruda bulunmaları gerektiği ifade ediliyor.
Kurul’un iznine tabi olacak bu başvuruları mercek altına almadan önce gelin yurt dışına veri transferinde ne gibi problemler yaşanıyordu kısaca hatırlayalım.
Türkiye’de kişisel verilerin yurt dışına aktarımı
Kanun’un 9. maddesinde yurt dışına veri aktarımı yapılması:
- İlgilinin açık rızasının bulunması
- Yeterli korumanın bulunduğu ülkelere veri aktarımında, Kanunda belirtilen hallerin varlığı
- Yeterli korumanın bulunmadığı ülkelere veri aktarımında Kanunda belirtilen hallerin varlığında yeterli korumanın yazılı olarak taahhüt edilmesi ve Kurulun izninin bulunması
halinde yapılabilmekteydi.
Ancak ne var ki, ülkemizde hala güvenli ülkelerin açıklanmamış olması özellikle pek çok Avrupa Birliği (“AB”) üyesi ülke ile aynı veri tabanları üzerinden organizasyon içerisinde olan çok uluslu grup şirketleri bakımından problem yaratmaktaydı. Örneğin Kanun kapsamında çalışanlarından gerekmedikçe rıza almaktan imtina eden şirketler, yalnızca insan kaynakları verileri kullanılan ortak yurt dışı veri tabanlı uygulamalar sebebiyle çalışanlarından rıza almak zorunda kalmaktaydı.
Hal böyle olunca, son iki yıldır sektörde herkesin gözü kulağı “Bağlayıcı Şirket Kuralları’nın” ülkemizde de işletilip işletilmeyeceği üzerineydi.
Kurum beklenen açıklamayı 10 Nisan 2020’de yaptı. Peki süreç nasıl işliyor. Öncelikli olarak aklınıza takılabilecek soruları aşağıda toparlamaya çalıştık.
Nedir bu Bağlayıcı Şirket Kuralları?
Kurum tarafından yayınlanan usul ve esaslara göre, Bağlayıcı Şirket Kuralları, bir şirketler topluluğuna bağlı olarak Türkiye’de yerleşik bir veri sorumlusu tarafından, bu şirketler topluluğuna bağlı olarak yurtdışında bir veya daha fazla ülkede faaliyet gösteren şirketler, teşebbüsler ile ortak bir ekonomik faaliyette bulunan veya veri işleme faaliyetine ilişkin ortak bir karar mekanizması bulunan veri sorumlularına yapılacak olan kişisel veri aktarımları veya aktarım setlerinde uyulması gereken kişisel veri koruma kurallarını ifade eder.
Bağlayıcı Şirket Kurallarının mutlak suretle içermesi gereken temel başlıklar şu şekilde sıralanabilecektir:
- Bağlayıcılık unsuru
- Etkili uygulama
- Kurum ile koordinasyon
- Kişisel verilerin işlenmesi ve aktarılmasına ilişkin süreçler
- Raporlama ve kayıt değişikliği mekanizmaları
- Veri güvenliği
- Hesap verilebilirlik
- Yardımcı bilgi ve belgeler
Başvuruyu yapma yetkisi kime ait olacak?
Kurum tarafından yayınlanan usul ve esaslara göre, grubun Türkiye’de yerleşik merkezi var ise başvuruyu yapmaya bu teşebbüs yetkili olacak. Grubun Türkiye’de yerleşik merkezi yok ise Türkiye’de yerleşik bir Grup üyesinin kişisel verilerin korunması konusunda yetkilendirilmesi gerektiği belirtiliyor.
Başvuru için gerekli belgeler neler?
Başvuru için en temel belge elbette ki başvuru formu, bunun yanımda form ile birlikte “bağlayıcı şirket kuralları” metninin de Kurum’a iletilmesi gerekiyor. Bu kuralların hali hazırda pek çok çok uluslu şirket tarafından kaleme alındığını söyleyebiliriz. Bu aşamada Türkiye bakımından da çok fazla ayrıksı bir kural bulunmuyor. Ancak Kurum’un başvuru ile ilgili gerekli gördüğü diğer tüm bilgi ve belgeleri talep edebileceğini söylemekte fayda var. Dolayısıyla buradaki yetkinin geniş tutulduğunu rahatlıkla söyleyebiliriz.
Başvurular ne kadar sürede sonuçlandırılacak?
Başvurular Kurum’a elden veya posta yolu ile iletilebilecek. Resmi başvuru tarihinden itibaren de bir yıl içerisinde değerlendirilerek sonuca bağlanacaktır. Gerekmesi halinde bu sürenin altı aylık sürelerle uzatabileceği düzenlenmiştir.
Sonuç olarak
Uzunca bir süredir özel sektör tarafından beklenen Bağlayıcı Şirket Kuralları nihayet ülkemizde de yurt dışına veri aktarımı için bir hukuki yol olarak tanındı. Bununla birlikte zamanla başvuru süreçlerine ilişkin birtakım sorunlar ve aksamalar olabilmesi mümkün. Özellikle başvuruların değerlendirme süresinin sınırsız bir şekilde uzatılabilmesi özel sektör bakımından öngörülebilirliği düşürebilecek bir faktör olarak dikkate çarpıyor.
